堡垒机如何限制IP地址访问WEB管理页面

acl限制

Web 界面配置【IP 源防护】（超级管理员 admin 登录）H3C

1. 使用超级管理员 admin登录堡垒机 Web 管理界面
2. 菜单路径：系统设置 → 安全设置 → IP 源防护
3. 模式分为两种：
   • 黑名单模式：拒绝指定 IP，其余全部允许访问 Web（风险低）
   • 白名单模式：仅列表内 IP / 网段可以访问 Web 管理页面，其他所有 IP 全部拒绝（等保常用，务必先加入自己当前操作主机 IP！）
4. 点击【新增】，填写 IP 地址 / IP 网段，添加需要放行的管理 IP。
5. 保存配置，立即生效。

注意：IP 源防护只管控 Web 网页访问；Console 串口 / 本地控制台登录不受该策略限制，配置错误无法访问 Web 时，接串口登录进去把模式切回关闭 / 黑名单即可恢复。

补充：单用户粒度 IP 登录限制（针对账号，不是全局 Web 访问）

路径：用户 → 用户管理 → 用户列表，编辑用户，开启「登录控制」，设置该账号允许登录的源 IP。

区别：这个只是账号层面限制，非法 IP 仍然可以打开堡垒机 Web 登录页面，只是输入账号密码拒绝登录；IP 源防护是直接拦截 TCP 连接，连登录页面都打不开。

方式二：Console 控制台命令配置（串口 / 虚拟机控制台）

登录设备 Console 控制台（串口、显示器控制台，SSH 需要先在 web 开启 sshd 外部访问），使用acl命令控制 Web 访问。

说明：

1. acl 命令控制 Web 界面访问，不影响 Console 控制台登录；
2. acl-number 数值越小优先级越高；
3. 默认是全部允许，只有添加 deny 规则才会阻断。

排错 & 风险提醒

1. 切换白名单模式前，务必确认已添加本机 IP，否则 Web 直接失联，只能串口救回。
2. IP 源防护是针对堡垒机本机 Web 服务，不影响资产运维访问。
3. HA 集群环境：需要分别登录每台节点的 Console 配置，或者 Web 页面配置会同步到集群节点。
4. 版本差异：老版本 E6114 之前菜单名称略有区别，找不到 IP 源防护就使用 Console 的 acl 命令。

故障恢复：配置白名单后 Web 打不开

1. 接串口 / 虚拟机控制台登录 Console；
2. Web 界面方式：进入 IP 源防护页面，将模式改为关闭；
3. Console 命令方式：acl --action list，删除全部 deny 规则。